SICHER • INFORMIERT

Wie man sein Amazon-Konto schützt und ein gehacktes wieder freischalten lässt

In letzter Zeit hört man öfter von gehackten Konten. Oft wurden diese Händler dann belächelt, sie hätten dann nicht genügend Sicherheitsvorkehrungen wie 2FA (Two Factor Authentication) benutzt. Aus eigener Erfahrung kann ich sagen, dass 2FA keine endgültige Sicherheit bietet. Mein Konto wurde zwei Mal gehackt, im August 2018 und dann zwei Wochen später noch einmal und das trotz 2FA. Amazon hat dann ein Lockdown durchgeführt, also alle Angebote deaktiviert. Beim ersten Mal waren die Angebote “nur” ein paar Stunden offline, beim zweiten Mal einen halben Tag, also mehr oder weniger 50% Umsatzverlust.

Warum und wie wird ein Konto gehackt?

Attachment.pngZunächst einmal muss erklärt werden, welche Angriffsszenarien es gibt. Zum Einen möchten die Hijacker das Konto selbst benutzen, um das Guthaben des Kontos, sei es durch Verkäufe von Waren, die bereits im Lagerbestand sind oder durch Verkäufe von neu hinzugefügten (hochpreisigen) Artikeln, auf das eigene Konto umzuleiten. Zum Anderen soll einem Händlerkonto gezielt geschadet werden. Dieses Szenario ist aber eher selten, denn um gezielt ein Konto anzugreifen, braucht man mehr als ein paar Phishing-Mails.

Üblicherweise liegt das Bankkonto des Hijackers im Ausland. Amazon hat mehrere Sicherheitsvorkehrungen getroffen, auf die ich im Detail nicht eingehen werden, um Angreifern nicht noch wertvolle Informationen zu liefern. Jedenfalls ist es nicht mehr so einfach ein weiteres Bankkonto zu hinterlegen, es sei denn man hat vollständigen Zugriff auf den PC des Opfers, denn dann kann man 2FA umgehen. Auch hier werde ich keine Details nennen. Es sollte nur klar sein, dass ein Rechner, der von einem Trojanischem Pferd (Anm: Das Trojanische Pferd diente dazu, in Troja einzudringen, also die Trojaner anzugreifen bzw. zu infiltrieren. Der Ausdruck Trojaner als Angreifer ist also schlichtweg falsch.) befallen ist, sofort vom Netz zu nehmen ist.

Es kommt leider noch schlimmer: moderne Trojanische Pferde können sich sehr einfach über Netzwerke verbreiten. Wer also denkt, er habe den Schädling bekämpft, indem er einen Virenscanner benutzt hat oder sogar diesen einen Rechner neu installiert hat, der irrt. Sobald dieser Rechner an einem verseuchten Netzwerk hängt, ist er in kürzester Zeit neu befallen. Wen es interessiert, der kann sich bei YouTube sehr viele Beispielvideos dazu anschauen.

Wie kann man sich vor einem Hack schützen?

Zunächst einmal sollte man sich bewusst machen, dass Virenscanner nicht funktionieren. Egal von welcher Firma. Diese funktionieren immer nur dann, wenn ein Virus bekannt geworden ist, man diesen also in eine Datenbank einpflegt. Bis das passiert ist, gibt es längst viele tausend Opfer. Ich möchte nicht davon abraten, überhaupt einen Scanner zu benutzen. Das wäre Quatsch, denn vor vielen Bedrohungen schützt solch ein Virenscanner schon aber eben nicht vor allen und schon gar nicht vor den spezieller Schadsoftware, die Seller-Accounts angreifen soll.

Jeder der Teamviewer schonmal benutzt hat, kann sich vorstellen, wie moderne Schadsoftware funktioniert. Der Angreifer kann tun und lassen, was er will, mit dem Unterschied, dass das Opfer davon nichts mitbekommt.

Es ist daher ratsam den Zugang zum Selleraccount auf einem Rechner anzulegen, der nur dafür benutzt werden darf, sich dort einzuloggen. Auf diesem Rechner dürfen keine Mails abgerufen werden und surfen ist strikt verboten. Das kann man ja aber auch von anderen Rechnern tun. Um noch eine extra Portion Sicherheit ins Spiel zu bringen, hängt dieser Rechner nicht am Netzwerk, also nicht am Router bzw. Switch der normalen Internetleitung. Hierfür eignet sich ein eigener LTE-Anschluss, ein Pocket Modem, ein Surfstick oder Ähnliches.

Zusätzlich sollte man die Mail zum Einloggen nicht für Kontaktanfragen für Kunden benutzen (Beispiel: info@deinedomain.de) sondern eine kryptische, schwer zu erratende Folge von Buchstaben und/oder Zahlen sein.

Mit diesem Account legt man nun Nutzer mit verschiedenen Rechten an. Soll ein Mitarbeiter Artikel einstellen? Dann reicht für ihn ein Konto mit eingeschränkten Rechten. Soll Werbung geschaltet werden? Auch dann reicht ein solches Konto. Kritisch wird es, wenn Mitarbeiter über Geld verfügen können, also z.B. Abbuchungen oder Erstattungen vornehmen. Auch hier sollte man auf die obig genannte Variante eines abgeschotteten PCs nutzen.

Es sollte klar sein, dass 2FA ein absolutes MUSS ist. Wenn Du es noch nicht eingeschaltet hast, dann hole es bald nach. Hier ist der Link dazu: https://www.amazon.de/a/settings/approval.

Attachment_1.png